kvm虚拟机网络过滤

情景：禁止虚拟机访问外网，但是对固定目标IP的包不限制，比如A虚拟机不可以访问外网但可以发送组播的包，适用于教学环境

网络过滤文件如下：

<rule action='accept' direction='out' priority='100'>
<ip protocol='udp' srcportstart='67' srcportend='68' dstportstart='67' dstportend='68'/>
</rule>
<rule action='accept' direction='in' priority='100'>
<ip protocol='udp' srcportstart='67' srcportend='68' dstportstart='67' dstportend='68'/>
</rule>
<rule action='accept' direction='out' priority='101'>
<ip dstipaddr='239.1.1.1'/>
</rule>
<rule action='drop' direction='out' priority='200'>
<ip match='no' dstipaddr='网关' dstipmask='子网掩码'/>
</rule>

 

加粗表示允许组播地址239.1.1.1的包出去